CN109981244A - 一种新型的分布式云加密算法的方法 - Google Patents

Abstract

本发明涉及信息安全领域，具体是一种新型的分布式云加密算法的方法，包括以下步骤：1）构建多种加密模式协同配合的存储模型，加密模式包括搜索洋葱、基本运算洋葱、欧氏距离洋葱和点积洋葱；2）将步骤1）中的搜索洋葱、基本运算洋葱、欧氏距离洋葱和点积洋葱对应不同类型的数据挖掘算法；3）对步骤2）中的数据挖掘算法进行密文优化。本发明利用多种加密算法协同配合的方案，可从理论上证明系统安全性，效率上有了极大提升，也可为实现其他密文数据挖掘算法提供重要参考，使用硬件加密，并实现了抗访问模式泄露这一功能，布置过程中无需云平台和用户应用层做任何修改，布置方便，具有通用性和易用性，有效提高了云平台的安全性。

Description

一种新型的分布式云加密算法的方法

技术领域

本发明涉及信息安全领域，具体是一种新型的分布式云加密算法的方法。

背景技术

随着互联网技术的蓬勃发展，数据呈现飞速增长之势。云平台拥有强大的存储与大数据分析能力，有助于促进信息流通与资源共享，被认为是继个人电脑、互联网之后信息技术的又一次重大变革，将带来工作方式和商业模式的根本性改变，包括我国在内的世界强国，均把云计算确定为战略性新兴产业的发展重点进行扶持和培育。

然而，现有云服务系统存在着严重的数据安全隐患，云平台必须得知数据内容才能为用户提供服务，云平台的数据安全主要依靠云平台的防火墙等对外提供安全防护措施，或由云平台对上传的明文数据进行加密存储。但这种模式存在着明显的安全隐患：一方面，对外安全防护措施无法保证绝对安全，一旦不法分子攻入云平台获取管理员权限，可轻松将数据解密，必将导致数据泄露；另一方面，云平台得知数据内容后，将数据泄露出去就变成了一件极难监管但却获利颇丰的事，收益高，风险小，云平台或云平台的某内部管理人员很可能在利益驱动下蓄意泄露数据。

要想解决云平台上的数据安全问题，仅仅依靠对外安全防护措施和云平台的自我约束显然远远不够，私有云也只是缩小了可能的泄露范围，并未从根本上解决数据安全问题。将数据加密后再上传到云平台，即使云平台被攻破攻击者也无法得到任何明文信息，云平台也无法获知数据内容，显然是最有效、最根本的解决方案。但这种解决方法同时带来了加密数据的管理、运算难题，目前的CryptDB、Monomi等加密数据库已很好的解决了加密数据的管理问题，但如何在加密数据上进行数据挖掘，进一步发挥云平台的大数据分析能力仍是一大难点。

现有解决密文数据挖掘的方案大多使用同态加密算法，但全同态加密技术的计算复杂度极高，时间消耗巨大；半同态加密技术只能实现特定运算，基于半同态加密技术的方案普遍需要使用多方安全外包计算协议，带来了巨大的通信开销和代理重加密的计算开销，所以同态加密算法均无法应用在实际场景中，需要设计新的方案解决此问题。

相比于同态加密，函数加密允许云服务器解密运算结果而不能解密原始数据，这为加密数据的数据挖掘提供了新的思路；同时针对特定功能，函数加密算法也表现出了更高的效率。但函数加密的研究尚在初级阶段，功能仍不完善，无法像同态加密一样实现所有的功能。综上所述，以函数加密为主，同态加密、硬件安全进行必要补充的方案应为目前可行的最为高效的方案。

因此，针对以上现状，迫切需要开发一种新型的分布式云加密算法的方法，以克服当前实际应用中的不足。

发明内容

本发明的目的在于提供一种新型的分布式云加密算法的方法，以解决上述背景技术中提出的问题。

为实现上述目的，本发明提供如下技术方案：

一种新型的分布式云加密算法的方法，包括以下步骤：

1)构建多种加密模式协同配合的存储模型，加密模式包括搜索洋葱、基本运算洋葱、欧氏距离洋葱和点积洋葱；

2)将步骤1)中的搜索洋葱、基本运算洋葱、欧氏距离洋葱和点积洋葱对应不同类型的数据挖掘算法；

3)对步骤2)中的数据挖掘算法进行密文优化。

作为本发明进一步的方案：在步骤2)中，所述欧氏距离洋葱用于对距离相关的数据挖掘算法进行距离支持，距离相关的数据挖掘算法包括kNN、k-均值、Adaboost。

作为本发明进一步的方案：在步骤2)中，所述点积洋葱用于完成CNN算法中复杂度最高的卷积过程，其余过程采用基本运算洋葱中的数据，利用安全的数据外包计算协议完成。

作为本发明进一步的方案：在步骤2)中，所述搜索洋葱用于对统计概率相关的数据挖掘算法进行概率统计支持，统计概率相关的数据挖掘算法包括C4.5决策树算法和贝叶斯算法。

作为本发明进一步的方案：在步骤3)中，密文优化包括密文数据挖掘系统的模型训练和模型测试。

作为本发明进一步的方案：密文数据挖掘系统的模型训练，包括以下步骤：

31)用户向安全辅助平台发送训练集和进行数据挖掘算法的请求；

32)安全辅助平台根据用户请求，将训练集中的数据集用相应加密算法加密，并提取训练集中的标签集进行哈希运算；

33)将标签集的哈希表和密文训练数据集上传至云平台，再将用户请求转化为具体的运算步骤，从云平台的存储结构中调出相应的数据完成运算，并将生成的模型存储在云平台中。

作为本发明进一步的方案：密文数据挖掘系统的模型测试，包括以下步骤：

34)需要使用模型时，用户将数据加密后上传，并发送使用模型的请求；

35)安全辅助平台将使用模型的请求转化为运算步骤，从云平台的存储结构中调出模型完成运算，最后将运算结果返回给用户；

36)用户在数据上传界面上传明文数据和请求，即可得到测试结果。

与现有技术相比，本发明的有益效果是：

本发明利用多种加密算法协同配合的方案，有别于传统的云服务场景依靠云平台的诚实可靠和对外安全防护措施来保证安全，本发明可从理论上证明系统安全性。同时，相比于利用同态加密算法实现的方案，本发明效率上有了极大提升，也可为实现其他密文数据挖掘算法提供重要参考。本发明使用硬件加密，并实现了抗访问模式泄露这一功能，布置过程中无需云平台和用户应用层做任何修改，布置方便，具有通用性和易用性，有效提高了云平台的安全性。

附图说明

图1为数据挖掘算法洋葱支持逻辑示意图。

图2为模型训练流程图。

图3为模型测试流程图。

图4为数据上传流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

名词解释

[1]搜索洋葱(特征向量，可搜索加密)主要用于获取概率，实现概率相关的机器学习算法。

[2]基本运算洋葱(数字型数据，陷门Paillier加密)主要用于配合点积洋葱实现卷积神经网络、深度神经网络等需要复杂运算的机器学习算法，使用双陷门Paillier算法加密配合高效安全外包计算协议，可以实现任意复杂运算。

[3]欧氏距离洋葱(数字向量，欧氏距离函数加密)可以加快计算加密数字向量的欧氏距离，用来实现统计学及欧氏距离相关的机器学习算法，例如kNN、贝叶斯算法、决策树等。

[4]点积洋葱(数字向量，点积函数加密)可以快速计算加密数字向量的点积，点积广泛应用于数据挖掘算法，它可以实现欧氏距离加权，是矩阵乘法和卷积计算的重要步骤，可以和其他洋葱一起实现很多重要的算法。

请参阅图1-4，本发明实施例中，一种新型的分布式云加密算法的方法，每种密文上的数据挖掘算法、机器学习算法都用到了多种洋葱中的数据对其进行支持，以几个代表性的数据挖掘算法作为示例，洋葱对数据挖掘算法的支持关系如图1所示：

1)对于kNN、k-均值(k-means)、Adaboost等距离相关的数据挖掘算法，采用欧氏距离洋葱来进行支持；

2)对于CNN算法，采用点积洋葱完成算法复杂度最高的卷积过程，其余过程采用基本运算洋葱中的数据，利用安全的数据外包计算协议完成；

3)对于C4.5决策树算法和贝叶斯算法等统计概率相关的数据挖掘算法，采用搜索洋葱来作概率统计支持。

对每一种数据挖掘算法在密文上进行了对应的优化，保证其运算效率。密文数据挖掘系统的模型训练流程图如图2所示，用户向安全辅助平台发送训练集和进行数据挖掘算法的请求；安全辅助平台根据用户请求，将训练集中的数据集用相应加密算法加密，并提取训练集中的标签集进行哈希运算，将标签集的哈希表和密文训练数据集上传至云平台，再将用户请求转化为具体的运算步骤，从云平台的存储结构中调出相应的数据完成运算，并将生成的模型存储在云平台中。

密文数据挖掘系统的模型测试流程图如图3所示，需要使用模型时，用户将数据加密后上传，并发送使用模型的请求，安全辅助平台会将使用模型的请求转化为运算步骤，从云平台的存储结构中调出模型完成运算，最后将运算结果返回给用户。

用户只需在类似于图4的界面上上传明文数据和请求，便可得到测试结果，无需进行其他任何更改、操作，便于开发人员进行开发扩展出任意领域的相关应用；安全辅助平台在用户端运行，只需进行加密、解密、数据交互和向云平台发送请求等操作，运算量极小，符合实际应用场景；云平台只需按照安全辅助平台发布的命令来进行数据的存储、调用和运算即可，无需更改原有架构，系统具有良好的兼容性。

本发明是将多种加密算法协同加密来实现数据挖掘的问题，还提供一种运行在apache spark里的整个软硬件结合的加密数据挖掘系统的框架，以函数加密(即半同态加密)为主，同态加密、硬件安全做必要补充的解决方案。

加密数据挖掘系统分为两部分，第一部分，针对云平台大数据分析，采用ApacheSpark的分布式加密数据分析平台；第二部分，在使用Intel SGX硬件加密的情景下实现抗访问模式泄露这一功能，完成用户与云平台之间的数据加密和请求转换。在系统布置过程中，云平台和用户软件不需要做任何更改，即可完成加密数据的数据挖掘，系统移植方便，开发简单，具有通用性和易用性。同时，系统并未改变云平台原有的安全防护策略，数据加密也可作为云平台被攻破的最后一道防线，大大提高了系统的安全性，是现有云平台安全防护的有益补充。

针对目前云平台存在的安全问题，本发明希望实现面向Apache Spark的分布式加密数据分析平台，实现加密数据上的高效数据分析，利用多种加密算法协同配合的方案，在满足数据处理需求的前提下，有效地保障了云平台的数据安全，消除了医疗、金融、政务等行业对云平台数据泄露的顾虑。

该新型的分布式云加密算法的方法，具有以下突出特点：

1)数据加密以后上传到云平台，云平台直接对加密数据进行查询、运算操作即可完成数据挖掘过程；数据安全依靠加密算法的安全性，不依托于云平台的诚实可靠和对外安全防护措施，可以从理论上证明数据安全性；

2)创新性的使用可搜索加密、函数加密技术解决加密数据的数据挖掘问题，使用多种加密算法协同实现了加密数据上的数据挖掘算法。一方面，相较全同态加密算法实现的密文数据挖掘算法，计算效率上有了极大提升，不会给云增加过大的计算开销；另一方面，这种设计思路可为实现其他密文数据挖掘算法提供重要参考；

3)在使用硬件加密的情景下实现抗访问模式泄露这一功能，完成用户与云平台之间的数据加密和请求转换。在系统布置过程中，云平台和用户软件不需要做任何更改，即可完成加密数据的数据挖掘，系统移植方便，开发简单，具有通用性和易用性。同时，系统并未改变云平台原有的安全防护策略，数据加密也可作为云平台被攻破的最后一道防线，大大提高了系统的安全性，是现有云平台安全防护的有益补充。

以上的仅是本发明的优选实施方式，应当指出，对于本领域的技术人员来说，在不脱离本发明构思的前提下，还可以作出若干变形和改进，这些也应该视为本发明的保护范围，这些都不会影响本发明实施的效果和专利的实用性。

Claims (7)

1.一种新型的分布式云加密算法的方法，其特征在于，包括以下步骤：

1）构建多种加密模式协同配合的存储模型，加密模式包括搜索洋葱、基本运算洋葱、欧氏距离洋葱和点积洋葱；

2）将步骤1）中的搜索洋葱、基本运算洋葱、欧氏距离洋葱和点积洋葱对应不同类型的数据挖掘算法；

3）对步骤2）中的数据挖掘算法进行密文优化。

2.根据权利要求1所述的新型的分布式云加密算法的方法，其特征在于，在步骤2）中，所述欧氏距离洋葱用于对距离相关的数据挖掘算法进行距离支持，距离相关的数据挖掘算法包括kNN、k-均值、Adaboost。

3.根据权利要求2所述的新型的分布式云加密算法的方法，其特征在于，在步骤2）中，所述点积洋葱用于完成CNN算法中复杂度最高的卷积过程，其余过程采用基本运算洋葱中的数据，利用安全的数据外包计算协议完成。

4.根据权利要求3所述的新型的分布式云加密算法的方法，其特征在于，在步骤2）中，所述搜索洋葱用于对统计概率相关的数据挖掘算法进行概率统计支持，统计概率相关的数据挖掘算法包括C4.5决策树算法和贝叶斯算法。

5.根据权利要求1所述的新型的分布式云加密算法的方法，其特征在于，在步骤3）中，密文优化包括密文数据挖掘系统的模型训练和模型测试。

6.根据权利要求5所述的新型的分布式云加密算法的方法，其特征在于，密文数据挖掘系统的模型训练，包括以下步骤：

31）用户向安全辅助平台发送训练集和进行数据挖掘算法的请求；

32）安全辅助平台根据用户请求，将训练集中的数据集用相应加密算法加密，并提取训练集中的标签集进行哈希运算；

33）将标签集的哈希表和密文训练数据集上传至云平台，再将用户请求转化为具体的运算步骤，从云平台的存储结构中调出数据完成运算，并将生成的模型存储在云平台中。

7.根据权利要求5所述的新型的分布式云加密算法的方法，其特征在于，密文数据挖掘系统的模型测试，包括以下步骤：

34）需要使用模型时，用户将数据加密后上传，并发送使用模型的请求；

35）安全辅助平台将使用模型的请求转化为运算步骤，从云平台的存储结构中调出模型完成运算，最后将运算结果返回给用户；

36）用户在数据上传界面上传明文数据和请求，即可得到测试结果。